SNMP Kommandos für Alcatel-Lucent OmniSwitch Produkte

Transkript

1 802.1x / MAC Address Authentication Abfragen der Port-Mobility Tabelle snmpwalk -v 2c -c public Abfragen des Mobility Settings für einen Port (in diesem Fall 1/2) MIB: vmobileportmobility snmpget -v 2c -c public Setzen der Port-Mobility auf "enable" MIB: vmobileportmobility snmpset -v 2c -c public i 1 SYNTAX INTEGER { enable(1), disable(2) Dot1x Einstellung des Ports abfragen MIB: vmobileportauthenticate snmpget -v 2c -c public Dot1x auf dem Port aktivieren (Default-Config wird automatisch erstellt) MIB: vmobileportauthenticate snmpset -v 2c -c public i 4 SYNTAX INTEGER { enableavlan(1), disable(2), notapplicable(3), enable8021x(4) Document rev /11

2 Dot1x supplicant policy für den Port abfragen MIB: aladot1xsupppolicy snmpget -v 2c -c public Dot1x supplicant policy für den Port setzen MIB: aladot1xsupppolicy snmpset -v 2c -c public s "X\"100\"B,\"200\"B" DESCRIPTION "802.1x authentication -> X Group Mobility -> G VLAN ID -> <vlan id> Default VLAN -> D Block -> B Fail ->, Captive Portal -> C Default value: XGD,B. If the string size is zero (0), the default value is used." Dies erzeugt die folgende Konfiguration auf der CLI Switch-> 802.1x 1/2 supplicant policy authentication pass vlan 100 block fail vlan 200 block Dot1x non-supplicant policy für den Port abfragen MIB: aladot1xnonsupppolicy snmpget -v 2c -c public Dot1x non-supplicant policy für den Port setzen MIB: aladot1xnonsupppolicy snmpset -v 2c -c public s "MGD,GB" Anderes Beispiel wo "PASS" ins Vlan 600 führt snmpset -v 2c -c public s "M\"600\"B,B" Document rev /11

3 DESCRIPTION "MAC based authentication -> M Group Mobility -> G VLAN ID -> <vlan id> Default VLAN -> D Block -> B Fail ->, Captive Portal -> C Examples: MGD,GB. The default value is B (block). If the string size is zero (0), the default value is used." Dot1x auf dem Port deaktivieren MIB: vmobileportauthenticate snmpset -v 2c -c public i 2 SYNTAX INTEGER { enableavlan(1), disable(2), notapplicable(3), enable8021x(4) Setzen der Port-Mobility auf "disable" MIB: vmobileportmobility snmpset -v 2c -c public i 2 SYNTAX INTEGER { enable(1), disable(2) Document rev /11

4 LPS (Learned Port Security) LPS Port anlegen MIB: lpsadminstatus snmpset -v 2c -c public i 1 MAC-Range für den Port setzen (LOW) MIB: lpslomacrange snmpset -v 2c -c public x "AA BB CC " MAC-Range für den Port setzen (HIGH) MIB: lpshimacrange snmpset -v 2c -c public x "AA BB CC FF FF FF" Abfragen der Einstellungen für die Ports snmpwalk -O x -v 2c -c public iso = INTEGER: 1 iso = INTEGER: 1 iso = Hex-STRING: AA BB CC iso = Hex-STRING: AA BB CC FF FF FF iso = INTEGER: 1 iso = INTEGER: 1 iso = INTEGER: 1 iso = INTEGER: 0 iso = INTEGER: 5 iso = INTEGER: 1 iso = INTEGER: 0 iso = INTEGER: 2 iso = INTEGER: 0 LPS Port entfernen MIB: lpsrowstatus snmpset -v 2c -c public i 6 Document rev /11

5 Maximale Anzahl "bridged" MAC Adressen auf LPS Port MIB: lpsmaxmacnum snmpset -v 2c -c public i 2 Default: Achtung! Für die folgenden zwei Funktionen ist für die Konfiguration via SNMP ein Bugfix notwendig. Dieser ist ab AOS R01 (PR ) enthalten. Spezifische MAC auf LPS Port setzen MIB: lpsl2macaddressrowstatus snmpset -v 2c -c public i 4 Port VLAN AA:CC:AA:04:05:06 Integer 4 erstellt den Eintrag. Die MAC Adresse muss dabei in dezimaler Darstellung übertragen werden. Das VLAN muss dem konfigurierten VLAN auf dem Port entsprechen. Es dürfen nicht mehr MAC Adressen als in MIB: lpsmaxmacnum angegeben gesetzt werden. Spezifische MAC auf LPS Port entfernen MIB: lpsl2macaddressrowstatus snmpset -v 2c -c public i 6 Integer 6 löscht den Eintrag. Die MAC Adresse muss wie zuvor in dezimaler Darstellung übertragen werden. Document rev /11

6 Alle MACs auf LPS Port entfernen MIB: lpsl2macaddressrowstatus snmpset -v 2c -c public i 6 Integer 6 löscht den Eintrag. Das VLAN muss auf 0 gesetzt werden. Alle Positionen der MAC-Adresse müssen mit dezimal 255 dargestellt werden. Beispiel der MAC Adressen auf einem Port iso = INTEGER: 2 iso = INTEGER: 2 iso = Hex-STRING: AA CC AA iso = Hex-STRING: AA CC AA iso = INTEGER: 1 iso = INTEGER: 1 iso = INTEGER: 1 iso = INTEGER: 1 LEAF.3 gibt dabei den Status der MAC Adresse an. lpsl2macaddresslearntype OBJECT-TYPE SYNTAX INTEGER { configured (1), dynamic (2), filtered (3), quarantined (4) MAX-ACCESS read-only STATUS current DESCRIPTION "Learned L2 MAC address type." ::= { learnedportsecurityl2macaddressentry 3 Document rev /11

7 Speichern/Synchronisieren der Konfiguration Speichern der Konfiguration in working MIB: configwritememory snmpset -v 2c -c public i 1 Synchronisieren der Konfiguration vom working ins certified MIB: chascontrolversionmngt snmpset -v 2c -c public i 3 SYNTAX INTEGER { notsignificant(1), certifysynchro(2), certifynosynchro(3), flashsynchro(4), restore(5), activate(6) DESCRIPTION "For the primary this means: notsignificant - No command applied. certifysynchro - Copy the file from the working to the certified directory and from the primary to the secondary (reboot of the secondary). certifynosynchro - Copy the file from the working to the certified directory. flashsynchro - Copy the file from the primary to the secondary (reboot of the secondary). restore - Copy the file from the certified directory to the working directory. activate - Reload from the working directory. Activate can be scheduled. " Hinweis: In einem Stack oder OS9000 wird die Secondary entgegen der Informationen in der MIB natürlich nicht rebootet. Document rev /11

8 SSH read-only/read-write Zugriff via RADIUS OS L-Lab-> show aaa priv hexa file = 0x x , ssh = 0x x , scp = 0x x ,... <snip>... Die Zeile für SSH fehlte in der Ausgabe von R01 und wurde ab R01 hinzugefügt. Die Konfiguration auf dem Radius muss für die Nutzer wie folgt aussehen: # Dieser Nutzer hat read-only Zugriff auf alle Funktionen. # SSH wurde auf read-write gesetzt da sonst das Abschicken von # Kommandos nicht möglich wäre. userro User-Password == "test" Xylan-Asa-Access = "all", Xylan-Acce-Priv-F-R1 = 0xffffffff, Xylan-Acce-Priv-F-R2 = 0xffffffff, Xylan-Acce-Priv-F-W1 = 0x , Xylan-Acce-Priv-F-W2 = 0x # Dieser Nutzer hat read-only Zugriff auf vlan. Es ist dem # Benutzer nicht möglich z.b. show ip interface einzugeben. userro2 User-Password == "test" Xylan-Asa-Access = "all", Xylan-Acce-Priv-F-R1 = 0x , Xylan-Acce-Priv-F-R2 = 0x , Xylan-Acce-Priv-F-W1 = 0x , Xylan-Acce-Priv-F-W2 = 0x # Dieser Nutzer hat read-write Zugriff auf alles. userrw User-Password == "test" Xylan-Asa-Access = "all", Xylan-Acce-Priv-F-R1 = 0xffffffff, Xylan-Acce-Priv-F-R2 = 0xffffffff, Xylan-Acce-Priv-F-W1 = 0xffffffff, Xylan-Acce-Priv-F-W2 = 0xffffffff Document rev /11

9 TFTP Aktionen per SNMP ausführen Die boot.cfg auf TFTP Server sichern MIB: systemservicesarg1 <- IP Adresse als String MIB: systemservicesarg2 <- Kommando { put get als String MIB: systemservicesarg3 <- Quelldatei als String MIB: systemservicesarg4 <- Zieldatei als String MIB: systemservicesarg5 <- Transfermode Option "ascii" als String MIB: systemservicesaction <- Switch anweisen den Befehl auszuführen MIB: systemservicesresultcode <- Ergebnis abfragen (0 = gut; alles andere schlecht) Die folgenden SNMP Kommandos entsprechen dem CLI Befehl: Switch -> tftp put source-file working/boot.cfg snmpset -c public -v 2c s snmpset -c public -v 2c s put snmpset -c public -v 2c s working/boot.cfg snmpset -c public -v 2c i 47 snmpget -c public -v 2c MIB: systemservicesaction SYNTAX INTEGER { noaction(0), mkdir(1), rmdir(2), mv(3), rm(4), rmr(5), cp(6), cpr(7), chmodpw(8), chmodmw(9), fsck(10), ftp(11), rz(12), vi(13), telnet(14), Document rev /11

10 install(15), ed(16), more(17), newfs(18), dshell(19), view(20), modbootparams(21), filedir(22), ssh(23), sftp(24), debugpmdni(25), bootrom(26), defaultminiboot(27), backupminiboot(28), fpgacmm(29), ubootcmm(30), ubootni(31), scp(32), aclman(33), ubootminibootallslots(34), miniboot(35), upgradelicence(36), restorelicence(37), updatedsinextroller(38), ftp6(39), telnet6(40), ssh6(41), sftp6(42), mount(43), unmount(44), backup(45), restore(46), tftp(47), fscollect(48), fpgani(49) Generell lassen sich alle CLI Kommandos ausführen, es muss aber darauf geachtet werden die korrekten Parameter in den "Args" zu übergeben. Document rev /11

11 Setzen des "Session Banner" CLI per SNMP (mit Hilfe von TFTP) MIB: systemservicesarg1 <- IP Adresse als String MIB: systemservicesarg2 <- Kommando { put get als String MIB: systemservicesarg3 <- Quelldatei als String MIB: systemservicesarg4 <- Zieldatei als String MIB: systemservicesarg5 <- Transfermode Option "ascii" als String MIB: systemservicesaction <- Switch anweisen den Befehl auszuführen MIB: systemservicesresultcode <- Ergebnis abfragen (0 = gut; alles andere schlecht) MIB: sessionbannerfilename <- Name und Pfad der Textdatei Die folgenden SNMP Kommandos entsprechen den CLI Befehlen: Switch -> tftp get source-file cli-banner.txt destination-file switch/cli-banner.txt ascii Switch -> session banner cli /flash/switch/cli-banner.txt TFTP Aktion snmpset -c public -v 2c s snmpset -c public -v 2c s get snmpset -c public -v 2c s eon.txt snmpset -c public -v 2c s switch/cli-banner.txt snmpset -c public -v 2c s ascii snmpset -c public -v 2c i 47 Setzen des Banners snmpset -c public -v 2c s /flash/switch/cli-banner.txt MIB: sessiontype für sessionbannerfilename SYNTAX INTEGER { cli (1), http (2), ftp (3), snmp (4) Document rev /11